Exigences clés en matière de cybersécurité pour le NIS2 : gestion des certificats&. PKI

La cybersécurité est aujourd'hui une priorité absolue pour chaque individu et chaque organisation. Et comme la numérisation continue de progresser, la menace des cyberattaques augmente également - ce qui rend la conformité aux règles de sécurité plus cruciale que jamais.

Against this backdrop, organizations must start preparing for NIS2, an updated framework from the European Union designed to further enhance the security and resilience of critical infrastructure. 

To help security teams with NIS2 compliance, Keyfactor recently led a webinar focused on strengthening cybersecurity through robust certificate management and public key infrastructure (PKI). Specifically, we discussed the expanded definition of critical infrastructure under the NIS2 Directive and the key cybersecurity requirements for compliance, how PKI and digital certificates are critical to establishing trust and secure communications, and the role of certificate management and PKI security in enabling compliance and strengthened defense against cyber threats.

Introduction au NIS2

We’re experiencing more cyber incidents than ever, and the types of threats continue to evolve. This landscape requires organizations of all kinds to be ready to manage risks efficiently and share information about potential incidents to ensure a proper response.

La directive NIS2 aborde ce paysage en évolution, et avec la date limite de septembre 2024 pour la mise en œuvre par les États membres de l'UE approchant rapidement, les organisations doivent commencer à planifier et à budgétiser pour adapter leurs pratiques de sécurité en conséquence. Voici un aperçu de ce que vous devez savoir pour commencer :

Comment le NIS2 améliore-t-il et développe-t-il le NIS1 ?

Au cours des sept années qui se sont écoulées depuis l'entrée en vigueur du NIS1, des événements mondiaux tels que le COVID, des perturbations de la chaîne d'approvisionnement et des changements géopolitiques ont mis en évidence des vulnérabilités en matière de sécurité qui ont conduit à un nombre croissant d'incidents. En outre, la mise en œuvre du NIS1 par les États membres de l'UE a été très divergente, ce qui a semé la confusion, notamment en raison d'un manque de clarté sur les seuils nécessaires pour la mise en conformité.

Le NIS2 vise à remédier à ces problèmes. Plus précisément, le NIS2 a déjà fait l'objet d'une plus grande collaboration entre les États membres, il inclut davantage de secteurs pour étendre la couverture à environ 20 fois plus d'organisations que le NIS1, et il adopte une approche de la carotte et du bâton pour l'application similaire au GDPR en introduisant des mesures plus punitives en cas de non-conformité.

Qui devrait s'intéresser à NIS2 ?

Le NIS2 concerne toutes les entités qui fournissent des services essentiels ou importants à l'économie et à la société européennes, y compris les entreprises et les fournisseurs. Les secteurs couverts par le NIS2 comprennent les "entités importantes" et les "entités essentielles". Les entités essentielles sont celles qui fournissent des services de santé, d'énergie et de transport et pour lesquelles une interruption des services pourrait avoir de graves conséquences sur la société ou l'économie. Les entités importantes comprennent les entreprises manufacturières, les services postaux, la gestion des déchets et les fournisseurs numériques tels que les moteurs de recherche, les réseaux sociaux et les places de marché en ligne.

Bien que le NIS2 couvre les deux types de secteurs, les exigences de conformité diffèrent pour chacun d'entre eux. Par exemple, les entités essentielles doivent effectuer des audits plus régulièrement que les entités importantes. Mais même les petites entreprises ne sont pas nécessairement exclues, car les États membres peuvent mettre à jour certaines exigences relevant de leur compétence, par exemple en exigeant davantage d'audits de la part de tout fournisseur de services gouvernementaux.

Qu'en est-il des solutions open-source ?

Le NIS2 reconnaît la valeur des outils et des normes de cybersécurité sur le site open-source , en particulier lorsqu'il s'agit de minimiser les coûts pour les petites et moyennes entreprises. Cela dit, la directive exige que les organisations qui utilisent ces solutions open-source les appliquent de manière durable. 

Par exemple, le considérant 52 stipule ce qui suit : "Open-source les outils et applications de cybersécurité peuvent contribuer à un degré d'ouverture plus élevé et avoir un impact positif sur l'efficacité de l'innovation industrielle. Les normes ouvertes facilitent l'interopérabilité entre les outils de sécurité, au bénéfice de la sécurité des acteurs industriels."

Comment le NIS2 s'inscrit-il dans le cadre plus large de la cybersécurité ?

NIS2 is one of many directives, standards, and regulations used worldwide and often used in combination with others. The exact standards that apply to each company depend on vertical and geography, among other factors, but it’s important to be aware of each of these global requirements. In general, we are moving into a time when companies must have a greater awareness and better implementation of cybersecurity and risk management policies.

Préparation au NIS2 : ce que les entités couvertes doivent faire maintenant

Il est important de commencer dès maintenant à planifier et à budgétiser le NIS2, car la mise en conformité avec la nouvelle directive pourrait nécessiter une augmentation du budget de 10 à 20 % en fonction du secteur, de la géographie et de la conformité avec d'autres normes, y compris le NIS1.

Qu'est-ce que la conformité implique exactement ? Au plus haut niveau, les entreprises doivent "prendre des mesures techniques et opérationnelles appropriées et proportionnées". Cela signifie qu'un incident touchant certaines organisations pourrait avoir un effet d'avalanche et entraîner d'importantes perturbations pour d'autres entreprises ou pour la société en général. Par conséquent, les organisations - en particulier celles qui sont considérées comme des entités essentielles - doivent préparer leurs mesures de sécurité en gardant à l'esprit ces impacts en aval. 

Pour commencer, les organisations doivent prendre deux mesures essentielles :

• Self-assessment: A self-assessment is important for any type of security compliance. This assessment should review potential risks and response measures, that way team members can take steps to proactively mitigate risks and ensure appropriate response protocols are in place. Taking these steps helps better prepare teams, reduce risk, and ensure business continuity when an incident does occur.
• Reporting: The reporting requirement in NIS2 is much stricter than the reporting requirement in NIS1, requiring organizations to have a live status of compliance at all times. This requires a deep understanding of incident reporting and business continuity practices as well as high visibility throughout the organization, meaning a simple spreadsheet won’t suffice. Additionally, it’s important to note that the C-suite and board have direct responsibility for this reporting, which makes training on protocols equally as critical.

D'une manière générale, la préparation à la conformité NIS2 est une excellente occasion de mettre à jour les technologies existantes, car les infrastructures fragiles n'assureront probablement pas le niveau nécessaire de continuité des activités. Dans de nombreux cas, les organisations peuvent estimer que l'externalisation de certains services de support leur apportera plus d'expertise et de supervision qu'elles ne peuvent en fournir en interne.

Comprendre la situation dans son ensemble : la place de PKI et de la gestion des certificats dans la conformité à NIS2

PKI and certificate management become especially important for organizations to get right when it comes to NIS2 compliance. That’s because the new directive requires organizations to introduce zero trust principles (e.g., through multi-factor authentication), regular software updates, network segmentation, identity and access management, code signing, and more – all of which rely on PKI and need proper certificate management to get right.

Il est important que les organisations investissent dans l'infrastructure appropriée de manière proactive plutôt que d'attendre qu'un problème survienne. Cette infrastructure doit être résiliente et évolutive pour assurer le niveau nécessaire de continuité des activités. Elle doit également offrir un haut niveau de visibilité et d'agilité pour comprendre l'ensemble du paysage des identités et émettre de nouveaux certificats si nécessaire.

Les organisations devraient commencer par se concentrer sur trois domaines clés :

• Take an inventory: Take an inventory of all services and identities to ensure everything is identified and that they are all compliant. Take measures to increase visibility and compliance as needed.
  
  
• Review services: Make sure that services don’t get overloaded. Often, organizations use the same infrastructure for two different purposes (e.g., external and internal needs), but this doesn’t hold up well in the long term and it creates more opportunities for risks.
  
  
• Introduce certificate lifecycle automation: Proper certificate lifecycle automation can help avoid outages, therefore providing business continuity. Certificate lifecycle automation allows teams to maintain visibility into certificates once they’re issued and easily replace them as needed, whether that’s because they’re expiring or are no longer trusted.

NIS2 arrive : votre équipe est-elle prête ?

L'application de la directive NIS2 est imminente et il est temps d'agir. La nouvelle directive améliore et développe le NIS1, de sorte que même les organisations qui se conforment déjà à la directive originale devront procéder à des mises à jour.

La mise en conformité avec le NIS2 n'est pas une chose que les organisations doivent prendre à la légère, et le fait de trouver les bons partenaires pour les aider tout au long du processus peut faire toute la différence lorsqu'il s'agit de réduire les risques et d'éviter les pénalités.